騰訊安全云部助理總經(jīng)理李旭陽
很高興有這個機會跟大家一起做一下分享。
看論壇的名字，大數(shù)據(jù)與云計算助力中國經(jīng)濟實現(xiàn)世界級騰飛，大數(shù)據(jù)對中國經(jīng)濟確實發(fā)揮非常大的作用。
經(jīng)濟發(fā)展隨之而來就有各種各樣的東西，黑色、灰色甚至觸犯刑法的東西就蠻多，大家看到的光輝一面比較多，我們一直打擊網(wǎng)絡(luò)詐騙這一塊，我們接觸時間比較久，我們發(fā)現(xiàn)確實比較觸目驚心。我這個主題把現(xiàn)在這種網(wǎng)絡(luò)上或者電話中、電信詐騙案例看一下，會說一下我們簡單的思路。
我的這些分享思路，如果要是大家在互聯(lián)網(wǎng)上做一些業(yè)務(wù)安全，我這個思路是對大家?guī)椭浅７浅７浅４螅瑥娬{(diào)三個字，如果有人做這一塊是非常大。這個分享我以前做過，有的東西很難分享，做安全是講策略，人與人之間的對抗，對抗是不能公開我的策略，如果我公開我的策略，其實壞人知道我這個策略就失效了，后面我會講一下對抗中用到比較有意思的東西。后面還會講一些評估方法，這個也非常重要，不管你吹得天花亂墜怎么好，到最后沒有價值其實還是一點用也沒有。
最近好萊塢有部電影叫《極盜者》，講的大致這樣的故事，有一群壞人，比較酷，同時為了了解跟多的信息去破案，臥底就產(chǎn)生了，臥底無非了解他們犯罪模式了解更多信息?？戳诉@個電影，聯(lián)系到了我們做的工作還是很有感觸，因為我們在跟壞人對抗過程中，其實很多地方也是這么來做，我們要知道壞人怎么運作，才能想辦法去阻止他。
我們相對于警方而言，我們是不帶槍或者沒有執(zhí)法權(quán)利的這種執(zhí)法者，我們看到一個壞人，我們能夠阻止他，但是我們不能抓他，只能跟他對抗讓他的成本上升，比如他要花5塊錢只能騙到4塊錢或者3塊錢，他就不做這件事情，我們讓他的門檻拉高，讓他在詐騙中獲益變少。
這是我們身邊經(jīng)常會發(fā)生的一些故事，我們可能在做的過程中，在前兩個月左右眼睜睜看到一對在深圳打工夫婦，我們發(fā)現(xiàn)他被騙了，然后我們?nèi)ヂ?lián)系他，聯(lián)系不到，然后警察聯(lián)系他，聯(lián)系不到他，晚上聯(lián)系到他的時候，被騙了7萬塊錢。7萬塊錢可能對大家來說不算什么，但是對比較普遍或者對普遍藍領(lǐng)或者打工人員來說7萬塊錢是非常大的一個數(shù)字，可能他們一年都攢不了那么多錢，當時我做這件事情內(nèi)心非常難受，包括這個案子也都是真實的案例，經(jīng)常自己存了一點錢被騙洗劫一空。
除了這些比較底層打工人員被騙，受過高等教育也是有被騙的。在去年春節(jié)前后有一個華北一個員工騙了1100多萬，這個在報紙上有寫，其實是我們發(fā)現(xiàn)。還有一個女的，40多歲一個女的被騙了500多萬，把房子賣到，當她自己知道被騙絕望跳樓自殺，非常多的一些故事，我們做這個事情的時候，我們接觸到這樣的故事就很有感觸，以至于這個東西正是驅(qū)動我做這件事情的最大動力，我們做這件事情沒有給公司帶來一毛錢利潤，拿著公司高工資做了一些別人看上去比較二的事情，我們把它稱之為情懷。
我再簡單介紹一下詐騙，這個主題盡量講得讓沒有知識背景的人也能夠聽得懂。
詐騙產(chǎn)業(yè)鏈發(fā)展很快，比我們安全從業(yè)者或者比國家像警察之類要發(fā)展快得多，他們驅(qū)動力是非常強的，就是變現(xiàn)賺錢。他們變化非常快，一旦發(fā)現(xiàn)你跟他對抗馬上就換，而且他們?nèi)ψ觽鞯梅浅？?，各種各樣的詐騙，形形色色非常多，他們發(fā)展是非?？斓?，一會我用數(shù)字證明，壞人比壞人做得好發(fā)展得快。
之所以出現(xiàn)這么嚴重的情況主要還是有幾個特點，第一，非常難防，各種各樣的詐騙非常多，用警察的話來說，幾百種詐騙模式，總有一款適合你。你覺得你很聰明，他總能找到一種適合你。我舉個簡單的例子，你有小孩在學(xué)校上學(xué)，突然給你打電話，說你小孩怎么怎么樣。 我有一個同事手機打不通，告訴他爸，住院了不行了，要打錢過去。各種各樣的詐騙模式非常多，總有一款適合你。
后面難治，警察是有責任，但是他做不了。為什么？因為他沒有數(shù)據(jù)。他在整個網(wǎng)上的詐騙環(huán)節(jié)中警察是什么也做不了，只能適合破案。我打個電話騙一個人，讓這個人打錢打到銀行卡上，所有東西不經(jīng)過警察，警察沒辦法中間攔阻所以非常難治。
難控，現(xiàn)在我發(fā)現(xiàn)每年增長都非?？欤揪偷貌坏揭稽c點遏制?，F(xiàn)在應(yīng)該國家還有各地公安對稱之為非接觸式犯罪上升得非常快，真正的接觸式傳統(tǒng)犯罪其實已經(jīng)控制得非常好。
這是一個數(shù)字，是詐騙加上灰產(chǎn)，在電商或者銀行里面羊毛黨或者各種灰色軟件拉安裝APK，還有黑鏈大致在3萬億左右。
89%，都是媒體上數(shù)據(jù)沒有太多的證實，也就八九不離十，大部分人碰到過詐騙信息，我都碰到過好多次，不管電話、短信也好。
尤其是有幾概念，我認為有幾個詞會被說濫，大數(shù)據(jù)，誰都口口聲聲說大數(shù)據(jù)，我現(xiàn)在聽到大數(shù)據(jù)都想吐了。
還有就是安全，一說安全，習大大說什么什么安全，在公司 里又是什么什么安全，各種各樣到處都是安全，從業(yè)人一堆一堆的，具體是怎樣的，其實很多人還是理解一般。我說一下我這邊從這種主題來說，我把這種安全是分了三類。
一個就是習總最關(guān)注的國家安全。這一塊中國做得是非常好的，輿情，國外間諜滲透竊取國家機密或者恐爆等等。
還有企業(yè)安全，企業(yè)安全包括每個企業(yè)自己的ID系統(tǒng)的安全，防信息的挖取這是最基礎(chǔ)的每個公司都有，特別大互聯(lián)網(wǎng)公司都有。
還有非常重要是業(yè)務(wù)安全，這個在安全領(lǐng)域里面警察如果不算，算互聯(lián)網(wǎng)上面安全從業(yè)者，業(yè)務(wù)安全是從業(yè)人數(shù)最多的。我舉個簡單的例子，我初步估計一下，就在互聯(lián)網(wǎng)公司，百度我了解不多，阿里也好、騰訊也好，他們真正安全從業(yè)者大部分是業(yè)務(wù)安全，然后再加上基礎(chǔ)安全，基本上可能這種安全從業(yè)者占總?cè)藬?shù)的10%左右，還是非常多的。業(yè)務(wù)安全它的范疇是非常廣的，每一個業(yè)務(wù)都是需要業(yè)務(wù)安全的，否則的話你這個業(yè)務(wù)肯定是要掛的。比如說電商你要打假貨，你要抓羊毛黨這都是安全范疇。
比如說百度搜索，它要打詐騙黑鏈違法鏈接要打掉也是處于業(yè)務(wù)安全，甚至防劫持等等。
還有騰訊做的游戲比較多，在游戲里面防外掛，這個就是它的業(yè)務(wù)安全，這個非常重要，如果做不好，失去平衡就掛了。所以業(yè)務(wù)安全是從業(yè)領(lǐng)域是最多的，也是各個企業(yè)非常關(guān)注的。所以我們經(jīng)常這樣說，作為把安全理解成互聯(lián)網(wǎng)企業(yè)的入門門檻，你做得大了，你不做業(yè)務(wù)安全，肯定會掛。
還有2C，普通用戶普通網(wǎng)民的安全。這個比如說你的信息泄漏，設(shè)備商、個人信息泄漏，還有社工詐騙，以前安全的公司，卡帕斯基，比如360走的公共安全這一塊，從安全主題大致分為這樣的一個情況。
在這一塊為什么要說社工詐騙，我今天重點分享社工詐騙，國家安全層面做得不錯，企業(yè)安全企業(yè)還是做得不錯，公共安全真正缺乏有人關(guān)注或者說從現(xiàn)在來看形勢是最差的一塊，我重點講一下社工詐騙。
社工詐騙常見手段非常多，你中了什么什么《奔跑吧，兄弟》節(jié)目多少多少錢，報紙上也有這樣的廣告，你訂個機票，收到短信告訴你航班取消等等。
我們最近幾天監(jiān)測到最火爆的詐騙網(wǎng)上兼職，告訴你網(wǎng)上刷單給你返傭，上當受騙的人是大學(xué)生和沒有工作這部分人，沒工作就自然想到從網(wǎng)上賺點錢，就上當了，最近是非常嚴重，我們重點在打擊這一塊。這批大概兩撥人合作在做，一部分在廣西，一部分是在浙江。比如說你在網(wǎng)上看到各種各樣的兼職，基本上都是騙子。
說到詐騙方式，有了詐騙方式一定要把信息公布出去，所以他有自己的傳播方式，當然這種詐騙不是說現(xiàn)在有了互聯(lián)網(wǎng)才有了社工詐騙，很早以前就有了，在互聯(lián)網(wǎng)很不發(fā)達的時候就有了，比如在報紙上，富婆征婚，房車各類，100%是騙子，小廣告、報紙之類這些都是騙子，報紙的小廣告。
然后還有電話，詐騙電話，電話傳播模式，像詐騙短信，搜索引擎也是重點傳播渠道。上次有一個人還給我們吐槽，在南京的時候，他是一個領(lǐng)導(dǎo)，他在國外受到航空詐騙，他就去網(wǎng)上搜了一下出來一個電話，被騙了2千塊錢，他在網(wǎng)上搜索到的信息剛好排在最前面，官方客服打過去，搜索引擎在里面充當了為虎作倀，至少幫騙子做了很多事情。還有信息發(fā)布網(wǎng)站，婚戀、招工等等。
還有UGC平臺，熱門網(wǎng)絡(luò)評論帖、微博、朋友圈，還有騰訊的QQ包括Email，凡是有信息發(fā)布溝通都可能變成騙子去傳播的一些方式，形形色色都非常多。
我再說挑戰(zhàn)。為什么這個社工詐騙那么嚴重。 信息太多了，壞人躲在正常請求里面是非常少的，舉一個網(wǎng)址，真正惡意網(wǎng)址占所有用戶訪問的正常的網(wǎng)址里面可能只有萬分之五或者更低，你去里面找很難找，大海撈針，惡意比例太低了。
還有壞人不像以前黑客，做病毒的人秀技術(shù)，展示一下自己很牛等等，現(xiàn)在完全為了賺錢，只要能賺到錢，什么low手段都無所謂，持續(xù)跟你對抗。
這種現(xiàn)在新型出現(xiàn)社工詐騙，傳統(tǒng)廠商已經(jīng)基本上完全失效了，這邊有個圖不是太清楚，我們可以看到，比如在社工詐騙里面釣魚網(wǎng)址或者欺詐網(wǎng)址是很重要的一個載體。從最近的一起，前幾天的一個報告來看，前面都是國產(chǎn)，你可以看到后面幾家國外，惡意網(wǎng)址的攔截率基本是零，沒有任何作用。既然傳統(tǒng)的這種模式都失效了，要做，OK，因為它的特點就是大數(shù)據(jù)，用大數(shù)據(jù)的方法來解決這個問題。
當然有了大數(shù)據(jù)的方法，是不是就可以做好？答案肯定沒有，現(xiàn)狀就是社工詐騙很猖獗，既然用這個方法沒做好還是有原因。為什么？它的責任口徑是在警察這一邊，但是就像我剛才說的，警察是沒有數(shù)據(jù)沒辦法切入詐騙的整個鏈條里面，他是沒法做。有責任的人沒法做。
還有一個數(shù)據(jù)很分散，比如說他要形成一個詐騙環(huán)節(jié)可能需要運營商的數(shù)據(jù)，可能需要銀行的數(shù)據(jù)，但是這些數(shù)據(jù)其實是不好串，串不起來。
假如說警方想去做這件事情或者說有這種公司想去做這種事情，要想接觸運營商的數(shù)據(jù)，想去接觸銀行數(shù)據(jù)，這個是不太可能的。當然這個也有比如說因為法律等等規(guī)定，這是用戶隱私你不能接觸，你不能因為你要做安全，你就去妨礙大部分的隱私，其實也是蠻有道理。再加上真正做這種事情，專業(yè)人才，我認為還是在國內(nèi)的幾個大的互聯(lián)網(wǎng)公司，一般小的互聯(lián)網(wǎng)公司可能還是有比較優(yōu)秀的人，這個不否認，但是畢竟是占得少。
比如說我們做安全，我們做了十年，然后我們比如說網(wǎng)址欺詐，我其中一個團隊十個人，從09年一直做到現(xiàn)在十個人，里面核心員工做了5、6年，就做一件事情，這種消耗或者這種投入還是非常巨大的，這還是僅僅人力成本，如果再加上設(shè)備成本，設(shè)備我們有400臺服務(wù)器做這件事情。真正能做這些事情或者做得有效果，短期有效這些人出自大公司有經(jīng)驗的人。
當然這是解決方法，用大數(shù)據(jù)方法去解決，其它方法不好解決。雖然有很多的困難，但是用大數(shù)據(jù)方法去解決其實還是有一些方法，我們先不說可以不可以數(shù)據(jù)，假如有機會得到數(shù)據(jù)，有機會做這樣的事情，怎么辦？大數(shù)據(jù)的方法，大數(shù)據(jù)的方法各種各樣的分享太多了，基本上都是所謂機器學(xué)習、人工智能等等。簡單來說其實就是把多維度數(shù)據(jù)抽取出來，有用數(shù)據(jù)維度，把黑白名單分出來，通過算法去把白樣本、黑樣本特征提取出來，制定規(guī)則，未知樣板做出來然后機器學(xué)習，這個東西很簡單。
我會簡單開始真正介入到業(yè)務(wù)安全和壞人對抗，后面這三四個概念我認為還是很有意思，大家至于理解多少我就不管。
染色，我只講兩個方法，一個稱之為順藤摸瓜。這個什么意思？我舉一個簡單例子，比如說我們發(fā)現(xiàn)一個網(wǎng)址是惡意的，我們又找到網(wǎng)址注冊人，發(fā)現(xiàn)它的email，我們發(fā)現(xiàn)惡意網(wǎng)址網(wǎng)頁，我們發(fā)現(xiàn)網(wǎng)頁用了固定的模板，我們一想壞人他去找人開發(fā)網(wǎng)頁應(yīng)該大部分都是用的同一個模板，我們通過這個關(guān)鍵信息或者一個信息，我們就去找使用這個模板的網(wǎng)頁有多少，都是哪些，又抓出來了很多，通過另外一種手段沒有檢測出來的惡意網(wǎng)頁。OK，我稱之為順藤摸瓜，核心意思就是說你要找到一個壞人某些破綻，通過這個破綻才去找到其它的東西去補充找到壞人，這是順藤摸瓜，通過一個線索找惡意的東西。
還有找賊窩。物以類聚人以群分，其實壞人也都是聚集在一起的，不是單干的，壞人是團伙作案，一個人做什么什么樣的事情，一圈人也是做什么什么樣的事情，這是很容易理解。比如說有一個案子，找賊窩有時候是很美妙的東西，有這樣一個小的案子。一個屌絲程序員想找漂亮老婆，突然認識一個空姐，他就想到怎么找到空姐女朋友。
既然認識這個空姐怎么找到其他空姐認識女朋友，之前比較簡單的方式，通過空姐的微博或者朋友圈去看看其它圈子，她的圈子里面交的女性大部分是空姐，大概這個思路。我們做安全也是這樣，比如在廣西賓陽、海南儋州等等，幾大賊窩很嚴重。
上面說到了一些找到壞人和檢測壞人方法，這個會講到對抗方法，這個也很有意思，應(yīng)該是去年的電影，《模擬游戲》，我是沖著圖靈去的，講的圖靈故事。這里面主線在二戰(zhàn)期間圖靈去破譯德國的密碼叫Enigma，花費很大精力去破解這個密碼。當時團隊要把這個東西馬上報告軍方，軍方資助他，圖靈攔住了，這個是絕密不能夠擴散，我們把這個東西范圍非常小，告訴了軍情六處，策略出來了，一定要把保密的范圍非常小，你去問別人的時候，你什么安全策略，別人會告訴你安全策略但不會告訴你為什么。
